› › ›

服务路径修改

编辑

服务路径修改编辑

识别由异常进程修改服务路径的尝试。攻击者可能尝试修改现有服务以实现持久性或权限提升。

规则类型: eql

规则索引:

logs-endpoint.events.registry-*
endgame-*
logs-windows.sysmon_operational-*

严重性: 低

风险评分: 21

每隔运行: 60 分钟

从以下时间开始搜索索引: now-119m（日期数学格式，另请参见 Additional look-back time）

每次执行的最大警报数: 100

参考: 无

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：防御规避
数据源：Elastic Endgame
数据源：Elastic Defend
规则类型：BBR
数据源：Sysmon

版本: 3

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询编辑

registry where host.os.type == "windows" and event.type == "change" and
  registry.path : (
    "HKLM\\SYSTEM\\*ControlSet*\\Services\\*\\ImagePath",
    "\\REGISTRY\\MACHINE\\SYSTEM\\*ControlSet*\\Services\\*\\ImagePath"
  ) and not (
    process.executable : (
      "?:\\Program Files\\*.exe",
      "?:\\Program Files (x86)\\*.exe",
      "?:\\Windows\\System32\\services.exe",
      "?:\\Windows\\WinSxS\\*"
    )
  )

框架: MITRE ATT&CK^TM

策略
- 名称：防御规避
- ID：TA0005
- 参考 URL：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：修改注册表
- ID：T1112
- 参考网址：https://attack.mitre.org/techniques/T1112/
策略
- 名称：持久性
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：创建或修改系统进程
- ID：T1543
- 参考网址：https://attack.mitre.org/techniques/T1543/
子技术
- 名称：Windows 服务
- ID：T1543.003
- 参考网址：https://attack.mitre.org/techniques/T1543/003/
策略
- 名称：提权
- ID：TA0004
- 参考网址：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：创建或修改系统进程
- ID：T1543
- 参考网址：https://attack.mitre.org/techniques/T1543/
子技术
- 名称：Windows 服务
- ID：T1543.003
- 参考网址：https://attack.mitre.org/techniques/T1543/003/

« 通过注册表修改禁用服务通过 sc.exe 修改服务路径 »